CVE-2026-100663 in Netty
Sumário
de VulDB • 26/09/2026
O codec HTTP/3 do Netty (io.netty:netty-codec-http3), nas versões de 4.2.2.Final a 4.2.17.Final, não trata especificamente os request-targets no formato authority das requisições CONNECT HTTP/1 ao converter mensagens HTTP/1 para HTTP/3 em HttpConversionUtil.toHttpHeaders. O target no formato authority (por exemplo, "CONNECT trusted.example:443") é analisado como um URI, portanto seu host é emitido como :scheme, o :path é definido como "/", e o cabeçalho Host do HTTP/1 é usado como :authority; se nenhum cabeçalho Host estiver presente, o target CONNECT é descartado. Em um proxy ou gateway baseado no Netty que converte de HTTP/1 para HTTP/3, um cliente remoto pode enviar uma requisição CONNECT cujo cabeçalho Host nomeia uma autoridade diferente do request-target da requisição, produzindo uma CONNECT HTTP/3 malformada cuja :authority do túnel é controlada pelo atacante. Isso pode contornar listas de permissão de túneis, políticas de egresso, seleção de backend ou controles de auditoria que validam o request-target da requisição CONNECT HTTP/1 antes de encaminhá-la via HTTP/3. O problema foi corrigido na versão 4.2.18.Final.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.